dnsmasq hendir einkadns-svari: er það rebinding-vörnin?

DNS-þjónn fyrirtækisins skilar væntu einkavistfanginu, og samt mistekst fyrirspurn í gegnum staðbundna áframsendingarþjóninn. Svarið er til, sem útilokar svæðið fyrir ofan og skrána sjálfa. Það sem eftir er, er skrefið þar sem þjónninn ákveður hvort hann skili svarinu til biðlarans. Ef sá þjónn er dnsmasq er höfnunin líklega þegar í loggnum.

Að taka við svari og að velja að skila því eru tvö mismunandi skref.

Berðu saman sama nafn á báðum þjónunum

Skráðu hvaða þjón forritið notar í raun og nákvæma vélarheitið sem það spyr um. Berðu svo saman niðurstöðuna fyrir ofan við atburð áframsendingarþjónsins fyrir sama nafn. Svar sem vantar fyrir ofan, neikvætt svar í skyndiminni og höfnun í loggnum krefjast þriggja mismunandi lagfæringa.

Vistfang sem sést í beinni greiningarfyrirspurn sannar ekki að forritið hafi fengið það um sína venjulegu leið. Fyrirspurnirnar tvær geta farið frá mismunandi þjónum, eða frá sama þjóni undir mismunandi stefnum. Skrifaðu niður báðar niðurstöðurnar áður en þú setur fram kenningar, því hér skipta menn einni út fyrir aðra. Samanburðurinn er öll greiningin.

Lestu höfnunina í stað einkennanna

Valkosturinn stop-dns-rebind í dnsmasq hafnar einkavistfangssvörum sem uppfylla skilyrði og berast frá ofanverðu, og skráir þau þegar hann gerir það. Vörnin er til af góðri ástæðu: opinbert nafn sem skyndilega leysist í einkavistfang er klassíska rebinding-árásin. Hún snertir líka þjónustu sem er viljandi einkarekin, og það er þitt tilfelli.

Leitaðu að höfnuninni í loggnum áður en þú breytir nokkru, því skilaboðin nefna vélbúnaðinn.

Ef hvorki er höfnun né svar fyrir ofan er rebinding-vörnin ekki þitt vandamál, og að slökkva á henni væri breyting sem lagar ekkert og eykur áhættu. Það er verra en upphaflega bilunin, því það fjarlægir stýringu og lætur gallann standa. Staðfestu fyrst tilteknu logglínuna. Ákveddu svo.

Takmarkaðu undantekið við eitt lén

Fyrir staðfest lén býður handbók dnsmasq upp á undantekningu sem takmarkast við lénið í stað alhliða rofa.

rebind-domain-ok=corp.example

Lénið hér að ofan er aðeins dæmi. Notaðu stjórnunarlénið sem þú rekur í raun og skildu samsvörunarsvið valkostsins áður en þú beitir honum, því viðskeytisregla nær yfir meira en eina vélina sem þú prófaðir. Stilligjafi leiðar getur sýnt sömu stillingu í gegnum eigin stýringu í stað hráa forskriftar. Báðar leiðir eru fínar svo framarlega sem sviðið verður það sem þú ætlaðir.

Undantekning frá rebinding-greiningu gerir nákvæmlega eitt: hún hleypir svörum þess léns í gegn.

Hún stillir ekki upp split-DNS-áframsendingu, gerir ekki óaðgengilegan uppstreymisþjón aðgengilegan og býr ekki til leið að vistfanginu sem skilað er. Hvert þessara er sjálfstæð krafa með eigin bilunareinkenni, og hvert bilar á sinn hátt í biðlaranum.

Staðfestu án þess að fjarlægja mörkin

Spurðu vélarheitið aftur í gegnum áframsendingarleiðina og tengstu svo þjónustunni með venjulegum auðkenningarskoðunum hennar. DNS-undantekning er ekki ástæða til að samþykkja óvænt vottorð, og auðvelt er að rugla bilununum tveimur þegar báðar birtast sem villa í vafranum. Prófaðu nafnið og þjónustuna aðskilið. Aðeins önnur þeirra var einhvern tímann DNS-vandamál.

Geymdu ástæðuna fyrir undantekningunni við hliðina á stillingunni, með dagsetningu og ábyrgðaraðila.

Athugaðu hana aftur þegar einkaþjónustan flytur eða lénið breytist. Að slökkva á vörninni almennt myndi breyta meðhöndlun ótengdra svara og myndi samt skilja eftir bilun í leið eða þjónustu ef rebinding var aldrei orsökin.